实验一木马攻击与防范全解Word文件下载.docx
- 文档编号:17416707
- 上传时间:2022-12-01
- 格式:DOCX
- 页数:22
- 大小:875.50KB
实验一木马攻击与防范全解Word文件下载.docx
《实验一木马攻击与防范全解Word文件下载.docx》由会员分享,可在线阅读,更多相关《实验一木马攻击与防范全解Word文件下载.docx(22页珍藏版)》请在冰豆网上搜索。
破坏型木马,主要功能是破坏并删除文件;
密码发送
型木马,它可以找到密码并发送到指定的邮箱中;
服务型木马,它通过启动FTP服务或者建立
共享目录,使黑客可以连接并下载文件;
DoS攻击型木马,它将作为被黑客控制的肉鸡实施DoS攻击;
代理型木马,可使被入侵的计算机做为黑客发起攻击的跳板;
远程控制型木马,可以使攻击者利用客户端软件进行完全控制。
4.木马的工作原理下面简单介绍一下木马的传统连接技术、反弹端口技术和线程插入技术。
(1)木马的传统连接技术一般木马都采用C/S运行模式,因此它分为两部分,即客户端和
服务器端木马程序。
其原理是,当服务器端程序在目标计算机上被执行后,一般会打开一个默认的端口进行监听,当客户端向服务器端主动提出连接请求,服务器端的木马程序就会自动运行,来应答客户端的请求,从而建立连接。
C/S木马原理如图1-1所示。
第1代和第2代木马都采用的是C/S(客户机,服务器)连接方式,这都属于客户端主动连接方式。
服务器端的远程主机开放监听端目等待外部的连接,当入侵者需要与远程主机连接时,便主动发出连接请求,从而建立连接。
(2)木马的反弹端口技术随着防火墙技术的发展,它可以有效拦截采用传统连接方式从外
部主动发起连接的木马程序。
但防火墙对内部发起的连接请求则认为是正常连接,第3代和第4代“反弹式”木马就是利用这个缺点,其服务器端程序主动发起对外连接请求,再通过某些方式连接到木马的客户端,就是说“反弹式”木马是服务器端主动发起连接请求,而客户端是被动的连接。
根据客户端IP地址是静态的还是动态的,反弹端口连接可以有两种方式,如图1-2
和图1-3所示。
图1-1C/S木马原理
图1-2反弹端口连接方式一
ft理服等器(保存客禰|打
图1-3反弹端口连接方式二
IP地址和待连接端
反弹端口连接方式一要求入侵者在设置服务器端的时候,指明客户端的口,也就是远程被入侵的主机预先知道客户端的IP地址和连接端口。
所以这种方式只适用于客户端IP地址是静态的情况。
反弹端口连接方式二在连接建立过程中,入侵者利用了一个“代理服务器”保存客户端的IP地址和待连接的端口,在客户端的IP地址是动态的情况下,只要入侵者更新“代理服务器”中存放的IP地址与端口号,远程被入侵主机就可通过先连接到“代理服务器”,查询最新木马
客户端信息,再和入侵者(客户端)进行连接。
因此,这种连接方式适用于客户端和服务器端都是动态IP地址的情况,并且还以穿透更加严密的防火墙。
表1-1总结了反弹端口连接方式一和反弹端口连接方式二的使用范围。
表1-1反弹端口连接方式及其使用范围
反弹端口连接方式
使用范围
方式一
1.客户端和服务器端都是独立IP;
2.客户端独立IP,服务器端在局域网内;
3.客户端和服务器都在局域网内
方式二
1.客户端和服务器端都是独立IP
2.客户端独立IP,服务器端在局域网内
(3)线程插入技术我们知道,一个应用程序在运行之后,都会在系统之中产生一个进程,同时,每个进程分别对应了一个不同的进程标识符(ProcessID,PID)。
系统会分配一个虚拟的内存空间地址段给这个进程,一切相关的程序操作,都会在这个虚拟的空间中进行。
一个进程可以对应一个或多个线程,线程之间可以同步执行。
一般情况下,线程之间是相互独立的,当一个线程发生错误的时候,并不一定会导致整个进程的崩溃。
“线程插入”技术就是利用了线程
之间运行的相对独立性,使木马完全地融进了系统的内核。
这种技术把木马程序作为一个线程,把自身插入其它应用程序的地址空间。
而这个被插入的应用程序对于系统来说,是一个正常的程序,这样,就达到了彻底隐藏的效果。
系统运行时会有许多的进程,而每个进程又有许多的线程,这就导致了查杀利用“线程插入”技术木马程序的难度。
综上所述,由于采用技术的差异,造成木马的攻击性和隐蔽性有所不同。
第2代木马,如
“冰河”,因为采用的是主动连接方式,在系统进程中非常容易被发现,所以从攻击性和隐蔽性
来说都不是很强。
第3代木马,如“灰鸽子”,则采用了反弹端口连接方式,这对于绕过防火
墙是非常有效的。
第4代木马,如“广外男生”,在采用反弹端口连接技术的同时,还采用了
“线程插入”技术,这样木马的攻击性和隐蔽性就大大增强了,可以说第4代木马代表了当今
木马的发展趋势。
三、实验环境
两台运行Windows2000/XP的计算机,通过网络连接。
使用“冰河”和“广外男生”木马作为练习工具。
四、实验内容和任务
任务一冰河”木马的使用
1•“冰河”介绍
“冰河”是国内一款非常有名的木马,功能非常强大。
“冰河”一般是由两个文件组成:
G_Client和G_Server,其中G_Server是木马的服务器端,就是用来植入目标主机的程序,G_Client是木马的客户端,就是木马的控制端,我们打开控制端G_Client,弹出“冰河”的主
界面,如图1-4所示。
图1-4“冰河”主界面
快捷工具栏简介(从左至右):
(1)添加主机:
将被监控端IP地址添加至主机列表,同时设置好访问口令及端口,设置将保存在Operate」ni文件中,以后不必重输。
如果需要修改设置,可以重新添加该主机,或在主界面工具栏内重新输入访问口令及端口并保存设置。
(2)删除主机:
将被监控端IP地址从主机列表中删除(相关设置也将同时被清除)。
(3)自动搜索:
搜索指定子网内安装有冰河的计算机。
(4)查看屏幕:
查看被监控端屏幕。
(5)屏幕控制:
远程模拟鼠标及键盘输入。
(6)“冰河”信使:
点对点聊天室。
(7)升级1.2版本:
通过“冰河”来升级远程1.2版本的服务器程序。
(8)修改远程配置:
在线修改访问口令、监听端口等服务器程序设置,不需要重新上传整个文件,修改后立即生效。
(9)配置本地服务器程序:
在安装前对G_Server.exe进行配置(例如是否将动态IP发送到指定信箱、改变监听端口、设置访问口令等)。
2•使用“冰河”对远程计算机进行控制
我们在一台目标主机上植入木马,在此主机上运行G_Server,作为服务器端;
在另一台主
机上运行G_Client,作为控制端。
打开控制端程序,单击快捷工具栏中的“添加主机”按钮,弹出如图1-5所示对对话框。
图1-5添加计算机
“显示名称”:
填入显示在主界面的名称。
“主机地址”:
填入服务器端主机的IP地址。
“访问口令”:
填入每次访问主机的密码,“空”即可。
“监听端口”:
“冰河”默认的监听端口是7626,控制端可以修改它以绕过防火墙单击“确定”按钮,即可以看到主机面上添加了test的主机,如图1-6所示。
图1-6添加test主机
这时单击test主机名,如果连接成功,则会显示服务器端主机上的盘符。
图1-6显示了test主机内的盘符,表示连接成功。
这时我们就可以像操作自己的电脑一样操作远程目标电脑,比如打开C:
\WINNT\system32\config目录可以找到对方主机上保存用户口令的SAM文件。
“冰河”的大部分功能都是在这里实现的,单击“命令控制台”的标签,弹出命令控制台界面,如图1-7所示。
Irt[F]卿目iftfltS]«
ft[^
軻艷型HHlr廡
图1-7命令控制台界面
可以看到,命令控制台分为“口令类命令”、“控制类命令”、“网络类命令”、“文件类命令”、“注册表读写”、“设置类命令”。
3•删除“冰河”木马
删除“冰河”木马主要有以下几种方法:
(1)客户端的自动卸载功能在“控制类命令”中的“系统控制”里面就有自动卸载功能,执行这个功能,远程主机上的木马就自动卸载了。
⑵手动卸载这是我们主要介绍的方法,因为在实际情况中木马客户端不可能为木马服务器端自动卸载木马,我们在发现计算机有异常情况时(如经常自动重启、密码信息泄漏、桌面不正
常时)就应该怀疑是否已经中了木马,这时我们应该查看注册表,在“开始”的“运行”里面输入regedit,打开Windows注册表编辑器。
依次打开子键目录HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft'
Windows'
CurrentVersion\Run。
在目录中发现了一个默认的键值C:
\WINNT\System32\kernel32.exe,这就是“冰河”木马
在注册表中加入的键值,将它删除。
然后再依次打开子键目录HKEY_LOCAL_MACHINE\SOFTWARE\MicrOspW/indows\CurrentVersion\Runservices,如图1-13所示。
在目录中也发现了一个默认的键值C:
\WINNT\System32\kernel32.exe,这也是“冰河”木马在注册表中加入的键值,将它删除。
上面两个注册表的子键目录Run和Runservices中存放
的键值是系统启动时自动启动的程序,一般病毒程序、木马程序、后门程序等都放在这些子键目录下,所以要经常检查这些子键目录下的程序,如果有不明程序,要着重进行分析。
然后再进入C:
\WINNT\System32目录,找到“冰河”木马的两个可执行文件Kernel32.exe
和Sysexplr.exe文件,将它们删除。
修改文件关联也是木马常用的手段,“冰河”木马将txt文件的缺省打开万式由notepad.exe改为木马的启动程序,除此之外,html、exe、zip、com等也都是木马的目标。
所以,在最后需要恢复注册表中的txt文件关联功能,只要将注册表的HKEY_CLASSES_ROOT\txtfile\shell\open'
command下的默认值,由中木马后的C:
\Windows\System\Sysexplr.exe%1改为正常情况下的C:
\Windows\notepad.exe%1即可。
再重新启动计算机即可,这样我们就把“冰河”木马彻底删除了。
(3)杀毒软件查杀大部分杀毒软件都有查杀木马的功能,可以通过这个功能对主机进行全面扫描来去除木马。
任务二广外男生”木马的使用
“广外男生”是广外程序员网络小组精心制作的远程控制以及网络监控工具。
它采用了“端
口反弹”和“线程插入”技术,可以有效逃避防火墙对木马程序的拦截。
1•“广外男生”的客户端和服务器端的配置及连接
(1)打开“广外男生”的主程序,主界面如图1-10所示。
图1-10“广外男生”主界面
(2)进行客户端设置。
依次单击“设置”“客户端设置”,弹出客户端设置界面,如图1-11
所示。
在窗口中我们可以看到它采用“反弹端口+线程插入技术的提示。
图1-11客户端设置
在“客户端最大连接数”中填入允许多少台客户端主机来控制服务器端,注意不要填入太大的数字,否则容易造成服务器端主机死机。
在“客户端使用端口”填入服务器端连接到客户端的那个端口,这是迷惑远程服务器端主机管理员和防火墙的关键,填入一些常用的端口,会使远程主机管理员和防火墙误以为连接的是个合法的程序。
比如使用端口80,就会使管理员以
为自己连接在远程的Web服务器上。
选择“只允许以上地址连接”选项,使客户端主机IP地址
处于默认的合法控制IP地址池中。
(3)单击“下一步”按钮,设置木马的连接类型,弹出如图1-12所示的对话框。
图1-12设置连接类型
如果使用反弹端口方式二,则选择“使用HTTP网页IP通知”,如果使用反弹端口方式一,则选择“客户端处于静态IP(固定IP地址)”,在此选择第2项。
单击“下一步”按钮,显示出完成设置的对话框,单击“完成”按钮就结束了客户端的设置。
(4)进行服务器端设置。
依次单击“设置”“生成服务器端”,这时,会弹出“广外男生”
服务器端生成向导,直接单击“下一步”按钮,弹出常规设置界面,如图1-13所示。
图1-13常规设置选项
在“EXE文件名”和“DLL文件名”中填入加载到远程主机系统目录下的可执行文件和动态连接库文件,在“注册表项目”中填入加载到远程主机注册表中的Run目录下的键值名。
这些
文件名都是相当重要的,因为这是迷惑远程主机管理员的关键所在,如果文件名起的非常有隐蔽性,如sysremote.exe,sysremote.dll,那么就算管理员发现了这些文件,也不知道这些文件就是木马文件而轻易删除它们。
注意:
把“服务器端运行时显示运行标识并允许对方退出”前面的对勾去掉,否则服务器端主机的管理员就可以轻易发现自己被控制了。
(5)单击“下一步”按钮,弹出网络设置对话框,如图1-14所示。
广外男生胆务銘生瓏向导
LKHP网页瑋式I滩知
HTIT阿页地址Q1BL)
氏薛态IPQ宣用于客户诵位于固走IF
客户鐫IF地址(说[阿©
監1備・山】°
客户诵用请口HOTT)闰
上=步00下=步S)取轴©
图1-14网络设置
由于我们选择的是反弹端口连接方式一,所以选择“静态IP”选项,在“客户端IP地址”
中填入入侵者的静态IP地址,“客户端用端口”填入在客户端设置中选择的连接端口。
⑹再单击“下一步”按钮,弹出生成文件的界面,如图1-15所示。
_■!
…亠弓**1
EDDruF口HMLS
a>
2>
17r-■Krp-r-
GUJB口Lj己Cllim
■9Uirr*aEi£
AA&
术
生或文件
广外舅生服务桃番信JB:
EIE文件:
評boy.亡
ULLtr件:
nbovdUdll超探或要口忘雜男空启动项飙务S;
显:
r:
运tr猱识
便用蓉尸
洱尸示r?
is;
iaenl
^□■90
目抹文件:
pg巩T|的览®
|
图1-15生成文件位置选择
在“目标文件”中填入所生成服务器端程序的存放位置,如D:
\hacktest.exe这个文件就
是需要植入远程主机的木马文件。
单击“完成”按钮即可完成服务器端程序的设置,这时就生成了一个文件名为hacktest.exe的可执行文件。
(7)在目标主机上执行木马程序hacktest.exe,当然在实际情况中,在远程主机中植入木马程序是很复杂的事情,这涉及到社会工程学、文件伪装等技术。
由于采用了反弹端口技术,在服务器端主机上执行木马程序后,需要在客户端主机上等待服务器端主机主动连接过来,过了一段时间后,客户端主机“广外男生”显示界面如1-16所示,表示连接成功。
这时,就可以和使用了第二代木马“冰河”一样控制远程主机,主要的控制选项有“文件共享”、“远程注册表”、“进程与服务”、“远程桌面”等。
2•“广外男生”的检测
(1)由于使用了“线程插入”技术,所以在Windows系统中采用任务管理器查看线程是发现
不了木马的踪迹的,只能看到一些正常的线程在运行,所以我们要使用两个强大的工具fport
和tlistofport是第三方提供的一个工具,可以查看某个具体的端口被哪个进程所占用,并能查看PID。
tlist是Windows资源工具箱中提供的工具,功能非常强,我们利用它查看进程中有哪些动态链接库正在运行,这对于检测插入在某个正常的进程中的线程是非常有用的。
(2)在服务器端主机上依次单击“开始”“运行”,输入cmd进入命令行提示符,在这
里输入netstat-an,查看网络端口占用状态,如图1-17所示。
在显示的结果,反亮的部分我们发现了一个可疑的IP地址(就是客户端的IP地址)与本机
建立了连接,这是需要我们注意的地方,记住本机用于连接的端口号1404,1405,1406,1407。
图1-17查看网络状态
(3)
接着在提示符下输入fport(注意,要在有fport.exe的目录中运行fport),显示结果如图1-18所示。
图1-18查看进程占用端口情况
在显示结果中,找到端口号1404,1405,1406,1407,发现木马插入的进程是Explorer.EXE记住此进程的PID号848o
⑷在提示符下输入tlist848,查看在Explorer.EXE中运行的动态链接库,显示结果如图
1-19所示。
在众多的动态链接库文件中,我们发现木马的dll文件gwboydll.dll,在实际情况中,这
个文件名是可以改变的,所以一定要仔细检查,看是否有可疑文件,查看时可以找一台正常的主机进行对比。
MtocilKinitS-And11Inys^ftdmioifftrator.HIVAHSHI>
<
tIitt-nybfl^ny<
tlL9idll
iuhi>
^l11.dll—非斗Htxplarar^EXEPrunirdiHttaniayfi-'
r
4ube^dl],dll-2^4増etffwngphv
图1-19查看动态链接库
(5)在命令行提示符下输入tlist-mgwboydll.dll查看木马是否还插入其它的进程,显示
结果如图1-20所示。
图1-20查看插入的进程
在显示结果中,我们发现木马插入了两个进程,Explorer.EXE、ctfmon.exe,这是木马的
高级之处,如果一个进程被杀,另一个进程还会运行并且立即再在其它进程中插入木马文件。
3•手动删除“广外男生”木马
“广外男生”木马除了可以采用防病毒软件查杀之外,还可以通过手动方法删除,具体手动删除步骤如下:
(1)依次单击“开始”“运行”,输入regedit进入注册表,依次展开到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ryn在里面找到木马自启动文件进行删除,如图1-21所示。
图1-21删除注册表中木马文件
a-LJmMlMhw.Pfc」MMX^EjrnU^tJC
OhMCAdw
:
.£
_jMl■*二|pdclK
Q]FiaMMy
■*■JR5
口Runomx
-lRunOnaEx
JRnSwykw
>
Cj
」SwedDLLif-*ShdE4<
vwn5;
溟」SbelCarpatfaft)邯JShtdScrv
」5heC#vic•」空Mjnag#任:
JSytwigr卍LJTetephcriy屁:
1JUrwwt・*._1IPld
图1-22删除注册表中木马文件
在实际情况中,这个文件名是可以改变的,应该在Run目录下仔细检查是否有可疑文件,
对可疑文件进行删除,注意删除之前先做好注册表的备份。
⑵进入C:
\WINNT\System32,按文件大小进行排列,搜索木马文件,将文件删除。
(3)在注册表中,依次单击“编辑”“查找”,查找文件名为gwboydll.dll的文件,找
到后将相关的注册表项全部删除。
⑷重新启动主机,按F8进入带命令行提示的安全模式,再进入C:
\WINNT\System32中,输入delgwboydll.dll删除木马的动态链接库文件,这就彻底把木马文件清除了。
任务三木马的防范
木马的危害性是显而易见的,通过以上实验知道了木马的攻击原理和隐身方法,我们就可以采取措施进行防御了,主要方法有以下几种:
(1)提高防范意识,不要打开陌生人传过来的可疑邮件和附件,即使是熟人传过来的,也要确认来信的源地址是否合法。
⑵如果网速变的很慢,这是因为入侵者使用的木马抢占带宽。
这时可以双击任务栏右下角
的连接图标,仔细观察一下“已发送字节“项,如果数字比较大的话,比如lkb/s〜3kb/s,几
乎可以确认有人在下载你的硬盘文件,除非你正在使用FTP等协议进行文件传输。
(3)查看本机的连接,在本机上通过netstat-an(或第三方程序)查看所有的TCP/UDP连接,当有某些IP地址的连接使用不常见的端口(一般大于1024)与主机通信时,这一连接就需要进一
步进行分析。
(4)木马可以通过注册表启动,所以可以通过检查注册表来发现木马在注册表里留下的痕迹。
(5)使用杀毒软件和防火墙。
许多杀毒软件有清除木马的工程,可以不定期在脱机的情况下进行检查和清除。
另外,有的杀毒软件还提供网络实时监控功能,这一功能可以在攻击者远程执行用户主机上的文件时,提供报警或让执行失败,使攻击者向用户主机上传可执行文件后无法正确执行,从而避免了进一步的损失。
防火墙则可以运行IP规则编辑器关闭某些端口的通信,只要利用防火墙关闭木马常用的一些端口,就可以阻止一些木马的入侵。
当然,木
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 实验 木马 攻击 防范
![提示](https://static.bdocx.com/images/bang_tan.gif)